Raccogli i log di Trellix DLP (precedentemente McAfee DLP)

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Trellix DLP (precedentemente noto come McAfee DLP) in Google Security Operations utilizzando Bindplane.

Trellix DLP è una soluzione di prevenzione della perdita di dati che monitora, rileva e impedisce la trasmissione non autorizzata di dati sensibili su endpoint, reti e ambienti cloud. Viene gestito tramite Trellix ePO (ePolicy Orchestrator), che fornisce gestione centralizzata dei criteri, monitoraggio degli eventi e report sugli incidenti DLP.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un host Windows 2016 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso privilegiato alla console Trellix ePO (ePolicy Orchestrator).
• Policy Trellix DLP configurate e che generano eventi in ePO.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       log_type: MCAFEE_DLP
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
• Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
• Sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
• Sostituisci <customer_id> con l'ID cliente effettivo.
• Aggiorna /path/to/ingestion-authentication-file.json al percorso del file in cui è stato salvato il file della chiave del account di servizio (opzione 1) nella sezione Recupera le credenziali di Google SecOps per l'agente Bindplane.

Esportatore dell'API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'importazione e, se la tua istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con l'endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MCAFEE_DLP
      raw_log_field: body
      ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

1. Esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifica che il servizio sia in esecuzione:

   sudo systemctl status observiq-otel-collector
   

3. Controlla i log per individuare eventuali errori:

   sudo journalctl -u observiq-otel-collector -f
   

Per riavviare l'agente Bindplane in Windows:

1. Scegli una delle seguenti opzioni:

   • Prompt dei comandi o PowerShell come amministratore:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console dei servizi:
     1. Premi Win+R, digita services.msc e premi Invio.
     2. Individua observIQ OpenTelemetry Collector.
     3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

2. Verifica che il servizio sia in esecuzione:

   sc query observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configura l'inoltro del syslog di Trellix DLP

L'inoltro di Syslog per Trellix DLP viene configurato tramite la console Trellix ePO (ePolicy Orchestrator) registrando un server Syslog.

1. Accedi alla console Trellix ePO.
2. Vai a Menu > Configurazione > Server registrati.
3. Fai clic su Nuovo server.
4. Nel menu a discesa Tipo di server, seleziona Syslog.
5. Nel campo Nome, inserisci un nome descrittivo (ad esempio Chronicle-Bindplane).
6. Fai clic su Avanti.
7. Fornisci i seguenti dettagli di configurazione:
   • Server Syslog: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
   • Porta: inserisci 514.
   • Protocollo: seleziona TCP.
   • Formato evento: seleziona Common Event Format (CEF).
8. Fai clic su Test Connection (Verifica connessione) per verificare la connettività all'agente Bindplane.
9. Fai clic su Salva per salvare il server syslog registrato.

Attiva l'inoltro degli eventi DLP

1. Vai a Menu > Automation > Risposte automatiche.
2. Fai clic su Nuova risposta per creare una nuova regola di risposta automatica.
3. Nel campo Nome, inserisci un nome descrittivo (ad esempio DLP Syslog Forwarding).
4. Nel menu a discesa Gruppo di eventi, seleziona Eventi DLP.
5. Nel menu a discesa Tipo di evento, seleziona Eventi relativi a incidenti DLP.
6. Fai clic su Avanti.
7. Nella scheda Filtri, configura i filtri in base alle esigenze o lascia i valori predefiniti per inoltrare tutti gli eventi DLP.
8. Fai clic su Avanti.
9. Nella scheda Azioni, fai clic su Aggiungi azione.
10. Nel menu a discesa Tipo di azione, seleziona Invia Syslog.
11. Nel menu a discesa Syslog Server (Server Syslog), seleziona il server Syslog registrato (Chronicle-Bindplane).
12. Fai clic su Avanti.

13. Controlla il riepilogo e fai clic su Salva.

    Nota: ripeti questi passaggi per altri tipi di eventi DLP (ad esempio Eventi operazione DLP o Eventi policy DLP) per inoltrare tutti i log DLP pertinenti.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
additional_field_0	additional.fields	Unita
additional_field_1	additional.fields	Unita
additional_field_2	additional.fields	Unita
additional_field_3	additional.fields	Unita
additional_field_4	additional.fields	Unita
additional_field_5	additional.fields	Unita
additional_field_6	additional.fields	Unita
expected_act	additional.fields	Unita
res_id	additional.fields	Unita
status_label	additional.fields	Unita
local_date	metadata.event_timestamp	Analizzato come yyyy-MM-d HH:mm:ss
has_principal	metadata.event_type	Mappatura: true → STATUS_UPDATE
has_principal_user	metadata.event_type	Mappato: true → USER_UNCATEGORIZED
inc_type	metadata.event_type	Mappatura: "10000","10001","10002","40101","40400","40500","40700" → SCAN_NETWORK, 40102…
inc_type	metadata.product_event_type	Mappata direttamente
inc_id	metadata.product_log_id	Mappata direttamente
agent_ver	metadata.product_version	Mappata direttamente
device_name	principal.asset.hostname	Mappato direttamente
ip_address	principal.asset.ip	Unita
device_name	principal.hostname	Mappata direttamente
status_id	principal.investigation.status	Mappatura: "1","2" → NEW, "3","4" → CLOSED, "5","6" → REVIEWED
ip_address	principal.ip	Unita
group_label	principal.user.attribute.labels	Unita
user_ou	principal.user.group_identifiers	Mappato: ^.{0,255}$ → user_ou
name	principal.user.user_display_name	Mappato direttamente
user	principal.user.userid	Mappato direttamente
sec_action	security_result.action	Unita
action	security_result.action_details	Mappato direttamente
fail_reason	security_result.description	Mappato: 0 → No Failure
encryption_label	security_result.detection_fields	Unita
usb_label	security_result.detection_fields	Unita
volume_label	security_result.detection_fields	Unita
rule_set_label	security_result.rule_labels	Unita
rule_name	security_result.rule_name	Mappato direttamente
sev	security_result.severity	Valori mappati (5 in totale, ad esempio 1 → INFORMATIONAL, 2 → ERROR, 3 → LOW)
sev	security_result.severity_details	Mappato direttamente
dst_app	target.application	Mappata direttamente
dst	target.asset.hostname	Mappata direttamente
file	target.file.full_path	Mappata direttamente
file_size	target.file.size	Rinominate/mappate
dst	target.hostname	Mappata direttamente
process_name	target.process.file.full_path	Mappata direttamente
dst_url	target.url	Mappata direttamente
dst	target.user.userid	Mappata direttamente
N/D	metadata.event_type	Costante: SCAN_NETWORK
N/D	metadata.product_name	Costante: Mcafee DLP
N/D	metadata.vendor_name	Costante: Mcafee
N/D	principal.investigation.status	Costante: NEW
N/D	security_result.description	Costante: No Failure
N/D	security_result.severity	Costante: INFORMATIONAL
dst	event.idm.read_only_udm.target.asset.hostname	Mappato dal log delle modifiche
device_name	event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.